Der bekannte IT-Sicherheitsforscher Brian Krebs hat am Donnerstag eine Bombe platzen lassen: Facebook habe die Passwörter von hunderten Millionen Usern so gespeichert, dass sie von Mitarbeitern eingesehen werden konnten.
Statt die heiklen Informationen verschlüsselt abzulegen, seien die Passwörter im Klartext abrufbar gewesen. Das gilt als eine der Todsünden, wenn es um Datensicherheit geht.
In seinem Blog Krebs on Security schreibt der Sicherheitsforscher, dass die Probleme seit Jahren bestanden hätten und zum Teil bis 2012 zurückgingen. Eine laufende Untersuchung habe laut Facebook keine Hinweis ergeben, dass Mitarbeiter den Zugang zu den Daten missbraucht hätten.
Facebook hat am Donnerstag mit einer ausführlichen Stellungnahme reagiert und zugegeben, die Passwörter von Millionen Nutzern in unverschlüsselter Form auf seinen internen Servern gespeichert zu haben. In dem Newsroom-Beitrag mit dem Titel «Keeping Passwords Secure» wird versichert, dass die Probleme inwischen behoben worden seien.
Die Passwörter hätten eigentlich auch intern unkenntlich sein müssen. Der Fehler sei bei einer Routine-Prüfung im Januar aufgefallen. Wann die schwere Sicherheitslücke geschlossen wurde, will das Unternehmen nicht verraten.
Laut Schätzung von Facebook müssen zahlreiche Betroffene in nächster Zeit mit einer Mitteilung rechnen:
Es ist davon auszugehen, dass Facebook die Betroffenen auffordern wird, ihre Passwörter zu ändern. Und es gilt den Sicherheits-Grundsatz in Erinnerung zu rufen, nicht das gleiche Passwort für mehrere Dienste zu verwenden. Stattdessen sollte man mithilfe eines Passwort-Managers sichere unterschiedliche Passwörter festlegen und verwalten.
Kurz vor der Facebook-Mitteilung hatte Brian Krebs in seinem Blog von dem Fall berichtet. Er schrieb unter Berufung auf einen nicht namentlich genannten Facebook-Insider, mehr als 20'000 Mitarbeiter des Online-Netzwerks hätten Zugriff auf die im Klartext gespeicherten Passwörter haben können. Insgesamt könnten 200 bis 600 Millionen Facebook-Nutzer betroffen sein.
Die Archiv-Dateien mit unverschlüsselten Passwörtern gingen bis ins Jahr 2012 zurück, hiess es bei Krebs weiter. Laut Logdaten hätten rund 2000 Entwickler rund neun Millionen interne Abfragen für Daten-Elemente gemacht, die ungeschützte Passwörter enthielten.
Facebook machte dazu zunächst keine Angaben.
Mit Material der Nachrichtenagentur SDA
(dsc)
Soso, dann wird das wohl so sein, wenn ihr das sagt.
Einmal mehr wieder negative Nachrichten von Facebook.
🙄🙄
"Login with Facebook" ist komfortabel, aber gefährlich.